CVE-2025-11870: Luka XSS w wtyczce Simple Business Data dla WordPress

Co wiadomo

Wtyczka Simple Business Data dla WordPress do wersji 1.0.1 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez atrybuty shortcode 'simple_business_data'. Luka wynika z braku odpowiedniej sanitacji danych wejściowych i ucieczki znaków przy osadzaniu atrybutu 'type' w atrybucie 'class' w HTML.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i właścicieli serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie ograniczyć dostęp do funkcji edycji dla użytkowników o niższych uprawnieniach, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference